吉通上海公司idc方案项目建议书

1、第 二 章 网 络 方 案1 概述如下图是整个 IDC 的建设框架，本章将阐述网络框架的建设以及网络管理。网络架构运行在布线系统，供电系统等基础系统之上，同时为主机系统和应用系统提 供平台。而在横向结构上， IDC 的网络运行离不开网络管理和运营维护。网络架构的可靠， 稳定，高效，安全，可扩展，可管理性将直接关系到上层的主机系统和应用系统，也将直 接关系到 IDC 业务的顺利开展和运行。 总之，网络架构是 IDC 建设框架中重要而又承上启 下的一环，网络系统的设计是否完善将直接影响到 IDC 建设的质量。IDC 网络架构的整体设计框架如下图所示。IDC 的业务将包含接入业务，空间出租业务，托管

2、业务，管理业务和增值业务。本章 将在介绍 IDC 网络设计的同时， 阐述每个设计要点对 IDC 业务的影响和重要性。 因为上图 中整个 IDC 建设框架的最终目的是为了 IDC 业务的开展和拓展， 在这个框架的每个部分都 必须贯穿为 IDC 业务开展服务的宗旨。本章将从托管服务，网络安全， Internet 连接，内容交换，内容传送，后台连接和网络 管理等方面具体阐述 IDC 网络解决方案对 IDC 业务的针对性设计。2 托管服务IDC 的基本业务包括网站托管( Web hosting)和主机托管( Co-location)两大类。其中网站托管分为共享式和独享式两种。由于其业务模式的不同，使得

3、其在对网络设计时的要 求也不相同。以下分别给出基于两种不同模式时的网络全貌。基于主机托管的 IDC 网络全貌主机托管是 IDC 初期为其用户提供的一种基础服务。网站及企业用户自身拥有若干服 务器，并把它放置在 IDC 的机房里，由客户自己进行维护。主机托管业务的特点：投资降低，用户可使用已购买的服务器等设备，无需再作设备 投资，并且可采用 IDC 提供的线路。该业务适合于自身有较强的网络运行维护经验并在数据中心建立之前已投入人力物力 建设了网站设备的大型企业用户。如着名的 Yahoo、eBay、Amazon。 com 都采用了主机托 管业务。提供主机托管业务的 IDC 向其用户提供的业务主要包

4、括与 Internet 网的连接以及提供独 立安全的场地，这样对于 IDC 而言在进行网络设计时必须考虑提高网络连接的速度及可靠 性，从而为用户提供高质量的服务。对主机托管业务， IDC 可为客户提供 n x 100M或者千兆独占带宽的电信级专业机房租 用服务，包括随时可扩充的独占带宽UPS不间断电源保障 24小时实时摄像监控电源控制系统 保安系统消防系统以及可选的机柜出租：标准电信级机柜：高 2M、深 1M 或 1。2米、宽 19 英寸每台机柜提供独立电源控制高速以太网接口独立风扇设备基于主机托管业务 IDC 的网络全貌如下图所示， 网络分为 Internet 连接层、核心层和服 务器接入层

5、。在提供主机托管服务给用户时， IDC 服务提供商将负责提供 Internet 连接层、核心层、 分布层及服务器接入层的设备并保障其稳定运行。用户则需要自己负责服务器以及包含防 火墙等在内的内部网络。有关网络各层的描述，请参见后续相应章节。基于网站托管的 IDC 网络全貌网站托管是 IDC 经过发展后而开展的一项业务。用户采用 IDC 提供的服务器来存放数 据，运行软件。总体来讲数据中心的硬件设备主要包括：服务器阵列、网络设备（路由器、 交换机）、机房控制设备、防火系统、备用电源、空调设施等。数据服务中心的建设除了 必须具有一定面积的机房和相当数量的服务器外，还必须对运维管理、安全系统、监控等

6、 设施、工具和专业服务进行深入的考虑。提供网站托管业务的 IDC 向其用户提供的业务主要包括网络设施及网站托管，这样对于 IDC 而言在进行网络设计时必须考虑以下要素：提高服务器及 Web 应用的可访问性， 这需要网络具有内容识别 (Content Aware) 的功能为方便租用主机的用户易于控制及管理其主机内容，提供相应的管理平台。2.2.1 独享式网站托管IDC 为用户提供专用主机，这更适合于具有复杂业务的站点。专用主机可以为这些关 键应用提供高质量、安全的服务。对于这种业务模型，用户将其服务器包给了数据服务中 心经营者，用户不必拥有计算机、网络方面的技术人员而享受数据服务中心所提供的全套

7、 专业服务。为了保证服务质量， 获得相应的高增值服务费用， IDC 服务经营者通常与用户制定 SLA ( Service Level Agreement)。运营者遵照 SLA 上规定的条例保证服务的不间断、丢包率、 网络响应时间。经营者通过提供例如：平台设计、服务监控、服务品质测试、网络安全管 理和缓存等项增值服务加强市场竞争力。对中小型网站而言，无论是从运营维护的角度，还是对整体业务收入而言，与场地租 用的服务相比，独享主机服务更能吸引 IDC 的经营者。根据用户需求的不同，我们可以定 义单机，双机集群或包括数据库服务器的独享主机服务包。其他作为独享主机托管服务的部分还应包括：电信级高品质机

8、房环境和设备 可靠的供电系统 恒温恒湿控制系统 19英寸标准机架 10M/100M 共享或独占接口 独立 IP 地址 服务器配置 服务器系统软件安装、调试 247 网络系统管理维护与技术支持 24小时实时的服务器运行状态、流量监测 详细的访问统计报告 紧急状况的处理共享式网站托管又可称为虚拟主机业务，是指在一种 Internet 的网站工作环境下， IDC 的网络服务器可 以容纳许多相互独立的多个网站和 Email 系统，并且由 IDC 提供管理维护服务。而每一位 客户可以有条件地访问和控制服务器上的一小部分，从而用来构建自己的网站。虚拟主机依托于一台服务器，多个网站可以在这台服务器上共享资源

9、（硬盘空间、处 理器以及内存空间），单独的一台服务器上可以同时运行多个虚拟主机。虚拟主机是一种初级的网络系统方案，其用途主要是容纳一些中小型企业应用以及静 态网页。在商业网站发展的早期阶段，是系统采取的主要解决方案。其业务需求的前提如 下：建设网站系统需要高额的硬件费用；缺乏维护这些系统的有经验的专家；网站比较简单；交互应用程序较少；网络带宽的限制。现在 Internet 上很多网站都采用虚拟主机系统方案。 虚拟主机业务市场将会随着这个产 业的发展而不断调整与变化，不断地满足如小型企业、社会团体以及其它仅需要一种简单 的网页系统的需求。但由于这种业务模式的技术难度不大，所需投资较小，竞争也比较

10、激 烈，利润也较低。在 IDC 网络建设初期，虚拟主机业务为服务提供商提供了巨大的市场机遇，而且它是 实施其他增值服务（例如应用托管业务）的基础共享式网站托管是深受中、小企业欢迎的一个价廉物美的服务，内容包括：国际、国内域名代理申请URL 域名解析FTP访问及其密码修改断点续传支持CGI/Perl 支持，专用 CGI BIN 目录Active X/VB Script 支持JAVA Applet/Class 支持防火墙保护服务器 24 小时不间断运行WEB 设计服务WEB Counter 计数器Banner广告条搜索引擎Email 自动转发、回复及邮件列表支持IDC 可根据用户对以上功能的选择及

11、对存储空间的要求，定义成不同级别的服务包提 供给最终用户。在基于网站托管业务 IDC 的网络全貌如下图所示，网络分为 Internet 连接层、核心层、 分布层、服务器接入及后台管理平台。在提供网站托管业务时， IDC 服务提供商需提供并管理所有各层的设备，对于 IDC 的 用户是完全透明的，从而用户可以专注于其业务而无需负责任何系统的管理。对于网络结 构中各层的详细描述，请参见后续相应章节。3 网络安全众所周知，作为全球使用范围最大的信息网， Internet 自身协议的开放性极大地方便了 各种计算机连网，拓宽了共享资源。但是，由于在早期网络协议设计上对安全问题的忽视， 以及在使用和管理上的

12、无政府状态， 逐渐使 Internet 自身的安全受到严重威胁， 与它有关的 安全事故屡有发生。对网络安全的威胁主要表现在：拒绝服务、非授权访问、冒充合法用 户、破坏数据完整性、干扰系统正常运行、利用网络传播病毒、线路窃听等方面。这就要 求我们对与 Internet 互连所带来的安全性问题予以足够重视。IDC 以 Internet 技术体系作为基础，主要特点是以 TCP/IP 为传输协议和以浏览器 /WEB 为处理模式。所以我们在 IDC 的设计中必须充分重视安全问题，尽可能的减少安全漏洞。 此外，我们还应该根据 IDC 的客户需求提供不同的安全服务， 同时最大限度的保证 IDC 网 络管理中

13、心（ NOC ）自身的安全IDC 的安全需求我们把对于 IDC 的安全需求分为三类：分别是 IDC 基本服务，IDC 增值服务，IDC NOC 对于 IDC 基本服务的安全需求如下：AAA 服务，提供认证，授权及审计的功能防 Dos 黑客攻击功能线速 ACL 功能对于 IDC 增值服务的安全需求如下：AAA 服务，提供认证，授权及审计的功能防 Dos 黑客攻击功能线速 ACL 功能防火墙及防火墙平滑切换功能入侵检测功能漏洞检测功能线速 NAT对于 IDC NOC 的安全需求如下：AAA 服务，提供认证，授权及审计的功能 防 Dos 黑客攻击功能线速 ACL 功能防火墙及防火墙平滑切换功能入侵检

14、测功能漏洞检测功能线速 NATACL 的策略管理安全元件的策略管理VPNAAA 服务所谓 AAA 是( Authentication、Authorization、 Accounting)的缩写，即认证、授权、记帐功能，简单的说：认证：用户身份的确认，确定允许哪些用户登录，对用户的身份的校验。授权：当用户登录后允许该用户可以干什么，执行哪些操作的授权记帐：记录用户登录后干了些什么AAA 功能的 实施 需要 两部 分的 配合：支 持 AAA 的网络设备、 AAA 服务器。 RADIUS/TACACS+ 是实施 AAA 常用的协议，认证软件需要有完整的记帐功能，并且可以 将 USER 信息直接导入软

15、件的用户数据库，极大方便的 AAA 服务的用户管理。在使用 AAA 的功能后用户通过网络远程登录到网络设备上的基本过程如下：用户执行远程登录命令（例如： Telnet），网络设备提示输入用户姓名、口令。用户输入口令后，网络设备向 AAA 服务器查询该用户是否有权登录。AAA 服务器检索用户数据库，如果该用户允许登录则向网络设备返回 PERMIT 信息和 该用户在该网络设备上可执行的命令同时将用户登录的时间、 IP 作详细记录；若不能在用 户数据库中检索到该用户的信息则返回 DENY 信息，并可以根据设置向网管工作站发送 SNMP 的警告消息。当网络设备得到 AAA 的应答后，可以根据应答的内容

16、作出相应的操作，如果应答为 DENY 则关闭掉当前的 SESSION 进程；如果为 PERMIT 则根据 AAA 服务器返回的用户权 限为该用户开启 SESSION进程，并将用户所执行的操作向 AAA 服务器进行报告。通过 AAA 的实施我们可以方便的控制网络设备的安全性， 同时结合 ACL 的设置限制能 够进行远程登录的工作站的数量、 IP 地址降低网络设备受到攻击的可能性。防 DoS 黑客攻击在拒绝服务（ DoS）攻击中，恶意用户向服务器发送多个认证请求，使其满负载，并且所有请求的返回地址都是伪造的。当服务器企图将认证结果返回给用户时，它将无法找到 这些用户。在这种情况下，服务器只好等待，

17、有时甚至会等待 1 分钟才能关闭此次连接。 当服务器关闭连接之后，攻击者又发送新的一批虚假请求，以上过程又重复发生，直到服 务器因过载而拒绝提供服务。分布式拒绝服务（ DDOS ）把 DoS又向前发展了一步。 DoS攻击需要攻击者手工操作， 而 DDOS 则将这种攻击行为自动化。与其他分布式概念类似，分布式拒绝服务可以方便地 协调从多台计算机上启动的进程。在这种情况下，就会有一股拒绝服务洪流冲击网络，并 使其因过载而崩溃。DDOS 工作的基本概念如图所示。黒客（ client）在不同的主机（ handler）上安装大量 的 DoS 服务程序，它们等待来自中央客户端（ client）的命令，中央

18、客户端随后通知全体受 控服务程序（ agent），并指示它们对一个特定目标发送尽可能多的网络访问请求。该工具 将攻击一个目标的任务分配给所有可能的 DoS 服务程序，这就是它被叫做分布式 DoS的原 因。实际的攻击并不仅仅是简单地发送海量信息，而是采用 DDOS 的变种工具，这些工具 可以利用网络协议的缺陷使攻击力更强大或者使追踪攻击者变得更困难。首先，现在的 DDOS 工具基本上都可以伪装源地址。 它们发送原始的 IP 包（ raw IP packe）t ，由于 Internet 协议本身的缺陷， IP 包中包括的源地址是可以伪装的， 这也是追踪 DDOS 攻击者很困难的 主要原因。其次，

19、DDOS 也可以利用协议的缺陷，例如，它可以通过 SYN 打开半开的 TCP 连接，这是一个很老且早已为人所熟知的协议缺陷。为了使攻击力更强， DDOS 通常会利 用任何一种通过发送单独的数据包就能探测到的协议缺陷，并利用这些缺陷进行攻击防范攻击的措施1。过滤进网和出网的流量网络服务提供商应该实施进网流量过滤措施，目的是阻止任何伪造 IP 地址的数据包 进入网络，从而从源头阻止诸如 DDOS 这样的分布式网络攻击的发生或削弱其攻击效果。2。采用网络入侵检测系统 IDS当系统收到来自奇怪或未知地址的可疑流量时，网络入侵检测系统IDS (IntrusionDetection System)s 能够

20、给系统管理人员发出报警信号，提醒他们及时采取应对措施，如切 断连接或反向跟踪等。3。具体措施在路由器和 Web 交换机上， 它将丢弃下列类型的数据帧：长度太短；帧被分段；源地址与目的地址相同；源地址为我们的内部地址，或源地址为子网广播地址； 源地址不是单播地址；源地址是环回地址； 目的地址是环回地址；目的地址不是有效的单播或组播地址此外，对于 HTTP 数据流，WEB 交换机必须在 HTTP 流启动后的 16 秒内接受一个有效 的帧，否则它将丢弃这个帧并中断这个流；对于 TCP数据流， WEB 交换机必须在 16秒内接受一个返回的 ack，否则它将终 止这个 TCP 流；对于任意尝试过 8次以

21、上 SYN 的数据流， WEB 交换机将终止这个流， 并且停止 处理同样 SYN，源地址，目的地址及端口号对的数据流。在核心交换机上我们可以用线速的 ACL 来达到上述类似的帧丢弃策略，我们还可以用 CAR 的方法对 ping及 SYN的数据流进行带宽控制，以预防 DDOS 的攻击。漏洞检测漏洞检测( Vulnerability Scanne)r 就是对重要计算机信息系统进行检查，发现其中可被 黑客利用的漏洞。漏洞检测的结果实际上就是系统安全性能的一个评估，它指出了哪些攻 击是可能的，因此成为安全方案的一个重要组成部分。安全扫描服务器可以对网络设备进行自动的安全漏洞检测和分析，并且在实行过程中

22、支持基于策略的安全风险管理过程。 另外，互联网扫描执行预定的或事件驱动的网络探测， 包括对网络通信服务、操作系统、路由器、电子邮件、 Web 服务器、防火墙和应用程序的检测，从而去识别能被入侵者利用来进入网络的漏洞。安全扫描服务器同时能进行系统扫描。系统扫描通过对企业内部操作系统安全弱点的 完全的分析，帮助组织管理安全风险。系统扫描通过比较规定的安全策略和实际的主机配 置来发现潜在的安全风险，包括缺少安全补丁、词典中可猜的口令、不适当的用户权限、 不正确的系统登录权限、不安全的服务配置和代表攻击的可疑的行为。系统安全扫描还可 以修复有问题的系统，自动产生文件所有权和文件权限的修复脚本。安全扫描

23、服务器能提供实时入侵检测和实时报警。当收到安全性消息时，图形用户界 面上相应的主机状态颜色和安全性消息组的图标都应有相应变化，以帮助操作人员快速地 确定报警的原因和范畴。入侵检测入侵检测( Intrude Detection)具有监视分析用户和系统的行为、审计系统配置和漏洞、评估敏感系统和数据的完整性、识别攻击行为、对异常行为进行统计、自动地收集和系统 相关的补丁、进行审计跟踪识别违反安全法规的行为、使用诱骗服务器记录黑客行为等功 能，使系统管理员可以较有效地监视、审计、评估自己的系统。实时入侵检测系统解决方 案，用于检测、报告和终止整个网络中未经授权的活动。 它可以在 Internet 和内

24、部网环境中 操作，保护整个网络。入侵检测系统包括两个部件： Sensor和 Director。Sensor不影响网络性能，它分析各个 数据包的内容和上下文，决定流量是否未经授权。如果一个网络的数据流遇到未经授权的活动，例如 SATAN 攻击、 PING 攻击或秘密的研究项目代码字， Sensor可以实时检测政策 违规，给 Director 管理控制台转发告警，并从网络删除入侵者。基于网络的实时入侵检测系统，能够监控整个数据网络，需要是具备最新攻击检测功 能的稳健的全天候监控和应答系统，能在本地、地区和总部监视控制台之间指导和转发告 警的分布式入侵检测系统。同时需要能够允许部署大量 Sensor

25、和 Director 的可伸缩的体系 结构，在大型网络环境中提供全面的覆盖面，与现有网络管理工具和实践平滑集成的入侵 检测系统。入侵检测系统通常具有的关键特性包括：对合法流量 / 网络使用透明的实时入侵检测对未经授权活动的实时应对可以阻止黑客访问网络或终止违规会话 全面的攻击签名目录可以检测广泛的攻击，检测基于内容和上下文的攻击 支持广泛的速度和接口类型，包括 10/100 Mbps 以太网、令牌环网和 FDDI 告警包括攻击者和目的地 IP 地址、目的地端口、攻击介绍以及捕获的攻击前键 入的字符适合特大规模分布式网络的可伸缩性专用 VLANIDC 环境是一个典型的多客户的服务器群结构，每个托

26、管客户从一个公共的数据中心中的一系列服务器上提供 Web 服务。这样，属于不同客户的服务器之间的安全就显得至关 重要。一个保证托管客户之间安全的通用方法就是给每个客户分配一个 VLAN 和相关的 IP 子网。通过使用 VLAN ，每个客户被从第 2层隔离开，可以防止任何恶意的行为和 Ethernet 的信息探听。然而，这种分配每个客户单一 VLAN 和IP 子网的模型造成了巨大的扩展方面 的局限。这些局限主要有以下几方面：VLAN 的限制： LAN 交换机固有的 VLAN 数目的限制复杂的 STP：对于每个 VLAN ，一个相关的 Spanning-tree的拓扑都需要管理IP 地址的紧缺：

27、IP 子网的划分势必造成一些地址的浪费路由的限制：如果使用 HSRP，每个子网都需相应的缺省网关的配置在一个 IDC 中，流量的流向几乎都是在服务器与客户之间，而服务器间的横向的通信 几乎没有。 Cisco 在 IP 地址管理方案中引入了一种新的 VLAN 机制，服务器同在一个子网 中，但服务器只能与自己的缺省网关通信。这一新的 VLAN 特性就是专用 VLAN (private VLAN ，pVLAN )。这种特性是 Cisco公司的专有技术，但特别适用于 IDC 。专用 VLAN 是第 2层的机制，在同一个 2 层域中有两类不同安全级别的访问端口。与 服务器连接的端口称作专用端口( pri

28、vate port)，一个专用端口限定在第 2 层，它只能发送 流量到混杂端口，也只能检测从混杂端口来的流量。混杂端口(promiscuous port)没有专用端口的限定，它与路由器或第 3 层交换机接口相连。简单地说，在一个专用 VLAN 内， 专用端口收到的流量只能发往混杂端口，混杂端口收到的流量可以发往所有端口(混杂端 口和专用端口)下图示出了同一专用 VLAN 中两类端口的关系专用 VLAN 的应用在多客户的数据中心是非常有效的，因为 IDC 的网络中，服务器只 需与自己的缺省网关连接，一个专用 VLAN 不需要多个 VLAN 和 IP 子网就提供了这样的 安全连接。在这一模型中，所

29、有的服务器都接入专用 VLAN ，从而实现了所有服务器与缺 省网关的连接，而与专用 VLAN 内的其他服务器没有任何访问。 目前，Cisco的 Catalyst Switch 6000/6500系列交换机支持专用 VLAN 。4 Internet 连接作为 IDC 网络与公共 IP 骨干网络的接口， Internet连接层提供了 IDC 与公共 IP 网的桥 梁，它的运行情况直接关系到 IDC 为其用户所提供的服务的质量，这就要求该层的设备必 须具有以下的特点： 高速的路由交换能力 对各种高级路由协议（如 BGP 等）的全面支持 具备丰富的接口类型 完善的 QOS 支持能力在 Internet

30、 连接层配置高端路由器，使用高速连接到 IP 骨干网，并以全冗余方式与核 心层互连。借助于这些高端路由器的高性能及丰富的特性，提供全冗余、高速、高性能网 络核心骨干接入作为 IDC 网络与公共 IP 骨干网络的接口， Internet连接层提供了 IDC 与公共 IP 网的桥 梁，它的运行情况直接关系到 IDC 为其用户所提供的服务的质量，这就要求该层的设备必 须具有以下的特点： 高速的路由交换能力 对各种高级路由协议（如 BGP 等）的全面支持 具备丰富的接口类型 完善的 QOS 支持能力在 Internet 连接层配置高端路由器，使用高速连接到 IP 骨干网，并以全冗余方式与核 心层互连。

31、借助于这些高端路由器的高性能及丰富的特性，提供全冗余、高速、高性能网 络核心。带宽管理在 IDC 的业务中，通常针对提供不同的带宽收取不同的费用， 所以带宽管理成为 Internet 连接中提供服务质量的重要保证。识别网络流量URL 或通配符（用IDC 的带宽管理需要支持多种协议和应用程序，并且可以根据自己的需要，自行设定 相应的标准来区分更多的类型。可以通过应用、服务、协议、端口数、 于Web通信)、主机名称、优先权、以及 IP或MAC 地址对通信量进行分类。只有这样才 能对用户提供完善的带宽管理机制。像 HTTP 、FTP 和 Telnet 这样的 IP 协议， 以及像 SNA、NetBI

32、OS 和 AppleTalk 这样的非 IP 协议，带宽管理都应该能自动识别，并根据用户的需要进行有效的处理。例如，你可以 将 SAP/R3 通信量根据一个特定客户式特定服务器隔开， 使 TN3270 交互式通信量与打印通 信量分开，甚至把一个 H。323 视频会议的数据信道和控制信道区分开来。保证应用性能带宽管理需要保证关键的和交互式的应用获得其所需要的带宽，同时限制普通应用对 带宽的需求。每种通信类型映射到一项特定的带宽分配政策上，确保每种通信类型得到一 个适当的带宽。速率政策( Rate policies)限制或保证每个单独对话的带宽，抑制那些贪婪的应用通信， 或者保护对时延敏感的流量。

33、比如，一个 HTTP cap会使 Web 游览避免使用他人的带宽。 而且获得保证的音频或视频流动速率，避免出现恼人的不稳定性。速率政策是为应用提供 没有被使用的带宽，所以，昂贵的带宽从不会被浪费。测量、分析和生成报表网络管理员在制订一项带宽管理策略之前及之后必须分析其网络应用通信的模式，以 测量其是否成功。带宽管理将跟踪平均和高峰通信量水平，计算在重新传输上所浪费的带 宽比例，突出最主要用户和应用程序，并且测量性能。网络总结以及特定上下文的报表提 供了对网络趋势的轻松访问。响应时间特征允许你测量性能，设置可接受性标准，并跟踪响应质量是否坚持了标准流量控制和监视控制IDC 的带宽管理是非常复杂的

34、业务和技术控制，所以，需要一个简单易用的进行操作 的管理界面。通过这一界面，网络管理员可在任何时候、任何地方，通过网络来配置、控 制和监控带宽分配情况。轻松部署硬件带宽管理器通常位于网络瓶颈上，通常在路由器和核心交换机之间。为了网络性 能的考虑，带宽管理器需要与现有的网络顺利集成，不需要任何新的协议或者重新配置路 由器，也不需要修改拓朴结构和桌面。它不能是一个网络故障点，如果带宽管理器发生故 障或者被关掉，它需要会像一根电缆一样发挥作用。用于 IDC 的硬件带宽管理器在当前市 场上主要有 Alteon 公司、 Packeteer公司和 Intel 公司的带宽管理器。利用路由器和交换机的特定 Q

35、OS( Quality of Service)技术，也能实现带宽管理。比如 Cisco 公司的 CAR( Committed Access Rat)e 技术。对本地带宽管理也可以通过四层交换机来实现。 Foundry，Alteon 和 Cisco 公司的四层交 换机都支持本地带宽管理。5 内容交换内容交换提供数据流的负载均衡以提高 IDC 的网络性能，特别是服务器的响应性能。内容交换同时对应用层的数据提供适当的控制以满足应用的要求，比如对SSL( SecuritySocket Laye)r 连接的控制。这在本节将有具体阐述。基于 IP 的负载均衡数据中心的服务提供商除了向客户提供一些基本的主机

36、托管和网站托管服务外，还需 要提供一些更高级别的增值服务来吸引用户、拓展市场。作为数据中心托管用户的主体， 例如 ICP 网站、电子商务网站、企业网站等，它们托管或租用在数据中心的大部分服务器 都是基于 Internet TCP/IP 协议的应用服务器，例如 WWW服务器、 FTP服务器等。对于这 些用户而言，如何保证这些关键服务器的高可靠性、高可用性和可扩展性是非常重要的。 因此，如果数据中心的服务提供商能够给客户提供这种高可用性服务，就可以像保险公司 的保险费一样，来向客户收取一定的增值服务费用！并且对数据中心的各种类型用户都带 来好处：对主机租用用户来讲，他们的服务器硬件本身都是租用数据

37、中心的，因此自然希 望数据中心能够对服务器系统的可用性提出更高的保证；对主机托管用户来讲，尽管服务 器是自身携带的，但是除了极少部分大的网站有资金、有技术能力来自行解决关键服务器 系统的高可用性问题外，大多数的网站并不具备这样的条件，他们希望数据中心服务提供 商能够作为他们的 Virtual IT 部门，能够给他们提供一个完善的解决方案。下面我们以数据中心中最为普遍的服务 WWW 服务为例，来详细讲解如何实现Internet 服务的高可用性，即关键服务器系统的高可用性。以前作为一个网站通常采用的方式是 WWW 服务器由一台硬件配置非常高的 UNIX 服 务器来担当，尽管成本昂贵，但这样做仍然不

38、能保证它的可靠性、可用性、可维护性：一 是因为一台服务器仍作不到硬件级的完全容错，保证不了可靠性；二是因为一台服务器的 网络带宽有限，保证不了可用性；三是因为当这台服务器进行硬件或软件升级时，不可避 免地要中断 WWW 服务，保证不了可维护性。基于上述原因，人们提出了 DNS 轮询方案（DNSRoundRobin）试图解决 WWW 服 务的可用性问题， 即多台 WWW 镜像主机在 DNS 中对应同一域名，当用户访问 WWW，要 求 DNS 服务器解析域名时， DNS 服务器按 DNS 请求的先后顺序把域名依次解析成其中一 台 WWW 主机的 IP 地址，从而把任务平均分担到数台 WWW 主机上

39、，来提高 WWW 服务 的整体性能。它的优点是：实现简单、实施容易、成本低；但是，它的缺点也非常明显： 不是真正意义上的负载均衡， DNS 服务器将 HTTP 请求平均地分配到后台的 WWW 服务器 上，而不考虑每个 WWW 服务器当前的负载情况；如果后台的 WWW 服务器的配置和处理 能力不同，最慢的 WWW 服务器将成为系统的瓶颈，处理能力强的服务器不能充分发挥作 用；另外未考虑容错， 如果后台的某一台 WWW 服务器出现故障， DNS 服务器仍会把 DNS 请求分配到这台故障服务器上，导致对客户端的不能响应。而这最后一个缺点是致命的， 有可能造成相当一部分客户不能访问 WWW服务，并且由

40、于 DNS 缓存的原因，造成的恶劣 后果要持续相当长一段时间（一般 DNS 刷新周期约 24 小时）。此外，还有一些基于群集（Cluster）技术的软件解决方案来保证 WWW 服务的高可用性。 它的通用做法是通过在操作系统的基础上安装操作系统厂商的群集软件或第三方的群集软 件（绝大多数支持 WWW 服务的群集），例如 Microsoft Cluster Serve、r Turbo Linux 、Cluster Server 等，来做到应用级的互为备份或负载平衡。互为备份（ Active/Standby）方式下，其 中 一 台 服 务 器 缺 省 处 于 活 动 状 态 （ Active/Pri

41、mary ） ， 而 另 一 台 处 于 睡 眠 状 态 （Standby/Backup），当主服务器系统死机或应用不能正常服务时，备份服务器会自动变成 活动状态，从而接管原主服务器的任务，保证应用能够继续服务。负载平衡方式下，可以有多台服务器，每一个服务器都承担一定的应用。它们之间即可以互为备份，也可以有专门一台备份服务器，它在群集正常时不承担任何任务，但是当群集中的某一台服务器发生 故障时，它会自动激活，从而接管故障服务器的任务。但是，它也存在以下缺点：安装、 配置复杂，难于维护和管理；群集软件与服务器的硬件平台和操作系统密切相关，不能做 到设备无关性和无缝升级；实现负载平衡的算法简单，一

42、般是根据轮询(Round Robin)，有些 WWW 群集软件可支持设定权重( Weighting)算法，但权重( weighting)是人为设定， 并不能客观反映每一台服务器的 HTTP 请求响应能力以及当前负载情况；与硬件实现方案 (Layer4的负载平衡交换设备)比较起来，性能较低，另外支持的 Web Site的规模较小(WWW 服务器最多可以到 16台)；不能实现 HTTPS 等特殊应用的负载平衡(这是因为在 HTTPS 应用中，客户端和服务器端要进行身份验证、交换证书和密钥，所以客户端和服务器端应 一一对应，同一客户的请求应由同一台服务器来处理)。当然更为重要的一点是，作为数 据中心

43、的托管用户， 他们往往不希望数据中心服务提供商在他们的服务器上安装任何软件！正因为上述的解决方案存在这样或那样的问题，因此，随着 Internet 技术的发展，出现 了基于应用、甚至基于内容的负载平衡设备，即我们通常所说的第四层、第七层智能负载 平衡设备。它们通过硬件技术或专用的 ASIC 芯片来实现 WWW 等应用服务器的负载均衡 和高可用性解决方案。通过这种技术可以提高 WWW 服务器的整体处理能力，并提高整个 服务器系统的可靠性、可用性、可维护性、可扩展性，保证 WWW 服务质量的 QOS，提供 基于 URL、基于内容的交换(当采用第七层负载平衡设备时)，最终用一组低处理能力、 低实现成

44、本的主机提供大规模、高性能、可扩展的 WWW 服务。以下是关于采用第四层负载平衡设备实现 WWW 服务的负载平衡的一般介绍：在第四 层负载平衡设备上设置 WWW 服务的虚拟 IP 地址( Virtual IP Address)，这个虚拟 IP地址是 DNS 服务器中解析到的 WWW 服务器的 IP 地址，对客户端是可见的。当客户访问此 WWW 应用时，客户端的 HTTP 请求会先被第四层负载平衡设备接收到，它会基于第四层 交换技术实时检测后台 WWW 服务器的负载，根据设定的算法进行快速交换，交给当前最 可用、负载最轻的服务器来处理。常见的算法有以下几种：轮询(Round Robin)、权重(

45、 Weighting)、最少连接 (Least connection)、随机(Random)、响应时间 (Response Time) 等。通过这种技术可将大量的、并发性的用户请求分配到多个服务器来处理，从而降低单 个服务器的负载，避免服务器的死机或响应延迟过大！另外，这种负载平衡设备还可以几 乎实时地检测到后台服务器的硬件、操作系统、网络甚至应用级别的状态，从而避免客户 的请求被失效的服务器处理。应用负载均衡第七层应用负载平衡设备是近一、两年才出现的最新技术，它主要用于实现 WWW 应 用的负载平衡和服务质量保证。它与第四层负载平衡设备比较起来：第七层负载平衡设备 不仅能检查 TCP/IP

46、数据包的 TCP、UDP 端口号( Transportation Laye)r ，从而转发给后台 的某一个服务器来处理， 而且它能从会话层 (Session Laye)r 以上来分析 HTTP 请求的 URL， 根据 URL 的不同将不同的 HTTP 请求交给不同的服务器来处理(可以具体到某一类文件， 甚至某一个文件)，甚至同一个 URL 请求可以让多个服务器来响应以分担负载(当客户访 问某一个 URL，发起 HTTP 请求时，它实际上要与服务器建立多个会话连接，得到多个对 象 Object，例如。 txt/ 。gif/ 。jpg 文档，当这些对象都下载到本地后，才组成一个完整的 页面)跨地域

47、负载均衡前面讲述的都是关于如何在本地局域网实现 WWW 等应用服务器的负载平衡，那么如 何实现应用服务器的广域网上的负载平衡，从而保证应用的冗灾备份，以及如何有效的根 据客户的地域分布、广域网络的连通状态或延迟时间来将客户定向到他们最适合访问的站 点呢？这些都涉及到广域网的负载平衡技术( Global Server Load Balance)，常见的广域网 负载平衡产品都是基于 DNS 重定向原理来实现的， 即当客户访问某一个网站时， 例如 www。 时，客户的关于这个网站的 DNS 域名解析请求会被这个广域网的负载平衡设 备来处理，而这个广域网的负载平衡设备会基于客户端的 IP 地址范围、客

48、户端与各节点的 网络延迟、各节点的状态及负载等参数，然后根据一定的算法来判断那个节点最适合用户 访问，从而将这个节点的 IP 地址或 VIP 地址返回给客户。常见的广域网负载平衡算法有： 轮询( RoundRobin)、加权轮询( Weighted RoundRobin)、随机( Random)、最少连 接数(Least Connection)、最低 CPU 利用率( Lowest CPU Utilization)、HTTP 重定向(HTTP Redirection)等。Cookie和 SSL会话的连接锁定为了使得一个电子商务的事务成功，客户必须被锁定到指定的服务器上直到事务完成。 保持到一个

49、服务器持续的连接，称为“锁定”，这是任何创造利润的电子商务 WEB 站点的 关键。Web交换机可以读到分布在多个包中的 Cookie 并有能力识别一个 Cookie。Cookie可以 由 Web 交换机内部产生或在服务器上产生。 一旦 Cookie 被设定，用户的浏览器就被透明地 刷新。可以产生 Cookie对电子商务站点基于 Cookie 使流量具有优先级是有益的。 如果进入一个请求并且提供了一个 Cookie，用户的优先级字段就会决定那个服务器群接受请求。如果没有提供 Cookie，请求要么被送到认证服务器，要么交换机内部产生一个新的Cookie。这个请求就有一个有优先级设置的 Cooki

50、e，这个优先级会把用户定向到合适得服务器群。保护基于 Web的商务的最常用的方法就是使用流行的 SSL（Secure Socket Lay）er协议 SSL是端到端的加密机制，是当今 Web 商务加密的主要方法。基于 SSL会话 ID 维持持续性优化了电子商务的商务完整性， 保证了安全和性能的均衡。 在一个安全的事务中， Web交换机维持从用户 Cookie（购物）到 SSL会话 ID （结帐）的转 化。这一点很关键，因为 Cookie 处于为进行 SSL事务而加密的 HTTP 头部，所以维持锁定 连的 Web交换机不能读到。用户浏览器与服务器之间开始的 SSL Hello 消息含有一个空的

51、会话 ID 字段（如果要建立一个新的 SSL会话）或上一次客户使用得 SSL会话。但是，这并 不是下面的电子事务使用的 SSL会话 ID 。作为客户 Hello 消息的响应，服务器挑选一个新 的会话 ID 并把自己的带有会话 ID 的 Hello 发回到客户端。 CSS交换机在服务器的 Hello 中 检测到这个新的 SSL会话 ID 并把请求路由到这一时刻最合适的服务器。 后续的有这个会话 ID 的请求都将被转到同一台服务器。为了优化资源，当一个会话在一个定义的时间段处于休止状态后，Web 服务器会终止这个会话。当几分钟没有操作后，服务器会做超时处理，释放这个会话ID 。当用户发送一个新的请

52、求时，服务器把它作为一个新用户处理，会建立一个新的会话。如果用户填了一个很长的表格，比如抵押申请或信用证明，那么所有刚填写的信息都会丢失，必须重新来 过。Web 交换机解决方案为加密会话提供锁定连接，不仅提高了效率和用户满意度，也显着地减少了服务器上应用的压力。由于建立会话的握手会涉及交换公钥，会产生计算资源 的最大的消耗。通过截取会话 ID 并透明地重建失败的会话， Web交换机除去了一个连接失 败后为建立新会话而做的处理复杂的谈判任务。内容传送网络加速Web Cache技术是把大多数经常被访问的内容存放的距客户更近从而提高了Web 的访问速度。 Web cache可以在企业的 Intern

53、et 接入处配置，在接入设备和 ISP POP 中骨干链路 之间，或在 ISP 网络之间的边缘。有许多的 Web cache实现方法，包括代理、透明的以及反向代理 cache。每一种技术的 区别在于在 Web 服务器访问途径的什么地方配备和需要进行配置的多少。Cache能力定义为一个对象可以被的潜力。 Web Cache只能 cache静态的内容，如 gif、 jpg和 PDF等。有一些类型的 Web的内容是不能被 Cache的，比如动态的内容，包括 CGI 脚本、 RealAudio、ASP、加密的文件或与 cookie有关的象 shopping cards等。Internet专家证 实，当

54、今 4050%的 Internet内容是动态的。 Web Cache的效率是用最大 cache命中率和最低 可能的请求 / 响应延时来衡量的。 Cache的命中率受一系列因素的影响，包括工作负载、内 存和磁盘大小、内容老化算法等。透明 Caching在透明代理 Caching(Transparent Caching)环境中， Cache对于浏览器是透明的，浏览器不需要配置指向 Cache。用户的请求经过网络设备路由到 Cache，比如经过路由器上的策 略过滤、远程的访问服务器或通过使用特殊用途的Web Cache前端设备，如 Web交换机。代理 Cache在代理 Cach(e Proxy Ca

55、ching)环境中，每个 Web浏览器都要配置代理 Cache的 IP 地址， 所有用户的请求都会转发到代理。当发起一个内容请求时，每个请求都会转到代理 Cache 的 IP 地址，不管是对动态或静态内容的请求。 如果请求的内容已经在 Cache中，那么 Cache 直接把内容发给客户；如果请求的内容不在 Cache中，请求被送到服务器获取内容，一旦 在服务器中找到了所需内容， Cache响应客户，且如果内容是可 Cache的，在 Cache中复制 一个 copy。代理 Cache的主要的缺点是需要管理的， 缺少集中控制， 并且不能重新定向用户绕过当 掉的 Cache，而是送到“黑洞”中。Ca

56、che集群在一个位置配备多个 Cache就是 Cache集群( Cache Clusterin)g 。 Cache集群提供冗余， 增加了 Cache的性能合扩展能力。 Cache集群可以通过把多个 Cache连接到一个路由器、第 4 层交换机或 Web 交换机上来实现。 Cache集群提供了冗余， 在单个 Cache失败时起到保护 作用。特别是代理 Cache，对单一的 Cache失败很敏感。如果一个网络中等 Cache失败，所 有的配置使用它的浏览器都会失去与 Web 的连接。集群是一个相对于配置后备 Cache较好 的解决方案，因为后者增加了代理 Cache管理的复杂程度6.1.4反向代理

57、 Cache代理和透明的 Cache是具有代表性的为优化穿越网络的所有 Internet 流量而配备的。反 向代理 Cache(Reverse Proxy Cachin，g RPC)则是典型的数据中心的扩展。反向代理 Cache 是 Web 服务器的代理，而不是客户的代理。事实上，反向代理 Cache对网络来说象是真正 的 Web服务器， DNS解析 RPC的IP地址而不是实际的服务器的 IP地址。Web交换机可以为不可 Cache的 HTTP 请求或不可 Cache的 TCP 请求(如 SSL)旁路 RPC。交换机旁路 RPC，把最初的 IP 地址信息和包含在流头部的序列号发往服务器。服务

58、器直接向客户答复，或转发到 RPC 的交换机。两种方法都不涉及 Cache，它可以集中资源 去服务可 Cache的内容请求。6.1.5智能 Cache旁路动态内容，如电子商务的事务、股票交易、 ASP以及 CGI表单，是不能 Cache到 Cache 服务器的， 只有静态的内容是可以 Cache的。可以 Cache的静态的内容的例子就是 gif、jpeg 和 pdf 文件等。代理、透明式和反向代理 Web Cache把所有客户的请求都推向 Cache服务器，这给以产 生效益为目的想利用 Web Cache强行把所有请求(不管内容)推向不能完成请求的服务器 的站点造成了很大的问题。 Web交换机

59、具有完成智能 Cache旁路( Intelligent Cache Bypas)s 的能力，如果是动态请求可以旁路代理、透明式或反向代理 Cache 服务器。当不可 Cache 的或动态的 URL 被指向 Cache时，由于 Cache需要判定这个请求的内容不可 Cache，再从 源服务器获取内容，然后再转发给客户，会造成明显的延时。在这种情况下，Cache基本上 变成了瓶颈。 Web 交换机的智能 Cache旁路能力除去了 Cache的重新定向动态内容请求的 负担，因此提高了性能。动态内容复制Web 交换机可以设置某些内容的负荷门限，当此内容的访问超过门限，交换机将动态 复制热点内容到备份服

60、务器， 并重定向请求到备份服务器。 由于 Internet 的流量具有很强的 突发性，而且具有不可预见性，对于一些大型的网站，经常会由于这种突发性的大业务量 造成服务器的拥塞，从而丢失很多交易量，但是如果增加服务器，又由于大多数时间没有 利用到增加的服务器，造成资源利用率的降低。由于 Web 交换机具有这种动态内容复制的能力，本方案为用户提供了一种灵活有效的 方案，即由 IDC 来解决这个问题。 Web 交换机根据用户内容的访问量的大小，动态地扩展 用户服务器的能力，当 Web 交换机发现某些申请了这项服务的用户的某些内容的访问量达 到一定的门限时，交换机将动态复制热点内容到溢出备份服务器，当